Lista e IP-ve të lejuara kundrejt laptopit të miratuar: dy kontrolle të ndryshme

Kërkesat për një rregull që lejon të lidhet vetëm laptopi i miratuar shpesh përfundojnë si një hyrje në firewall për adresën publike të zyrës. Ai rregull tani pranon çdo pajisje pas adresës. Kërkesa dhe zbatimi nuk janë e njëjta gjë. Ndani atë që do politika nga ajo që adresa mund të provojë.

Tre pyetje në një kërkesë të vetme politike

Ndajeni kërkesën në tre pjesë: nga vjen lidhja, cilën shërbim mund të arrijë dhe cili kompjuter paraqet kredencialin. Rregulli i adresës burimore përgjigjet për të parën, dhe rregulli i shërbimit të destinacionit për të dytën. Asnjëri nuk identifikon makinën fizike, sepse të dy veprojnë në fusha rrjeti që shumë pajisje ndajnë. I treti kërkon një kredencial të lëshuar për atë pajisje dhe që nuk mund të ripërdoret në heshtje.

Shkruani tre përgjigjet veçmas. Një rresht i vetëm firewall nuk mund të përmbushë një kërkesë që emërton tre.

Çfarë mund t'ju thotë adresa burimore

Përkthimi i adresave është arsyeja e zakonshme pse një rregull i origjinës së rrjetit pranon shumë. Gjithçka pas një daljeje zyre shfaqet si e njëjta adresë publike, kështu që rregulli i jep akses të gjithë grupit. Një adresë fikse brenda VPN ka të njëjtën dobësi diku tjetër: është një caktim i lidhur me një sesion, jo një veti e harduerit. Çdo pajisje me një kredencial të pranuar mund të hapë atë sesion. Trajtojeni adresën si një kufizim rrjeti dhe përshkruajeni ashtu.

Kjo është ende e dobishme për të kufizuar ekspozimin, dhe nuk është vërtetim pajisjeje.

Lidhni aksesin me një kredencial të regjistruar

Nëse kërkesa është kufizim pajisjeje, përdorni regjistrimin për pajisje të mbështetur nga VPN dhe jepini çdo kompjuteri një identitet të veçantë.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Lista e ruajtjes tregon certifikatën dhe nëse është i pranishëm një çelës privat, dhe verifikimi tregon nëse zinxhiri çon te ankorimi i synuar. Një certifikatë provon zotërimin e çelësit privat të pranuar sipas politikës së konfiguruar; nuk provon cila makinë fizike e kishte kur ai çelës mund të eksportohet dhe kopjohet. Emërtimi i profilit sipas laptopit e lë sekretin po aq të lëvizshëm sa më parë. Aty ku platforma e mbështet, çelësat e mbrojtur nga hardueri me një politikë attestimi japin një lidhje më të fortë, dhe regjistrimi duhet ende të vendosë kush mund të marrë kredencialin.

Provoni kufirin, pastaj planifikoni heqjen

Vlerësoni dy raste: laptopi i miratuar dhe përdoruesi duhet të lidhen, dhe një pajisje tjetër që ka vetëm llogarinë e përdoruesit nuk duhet. Nëse dizajni kërkon një kontroll përdoruesi dhe një kontroll pajisjeje, verifikoni që metoda e zgjedhur i zbaton të dyja në të njëjtin sesion në vend që të supozojë se dy cilësime të pavarura kombinohen.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Revokimi duhet të heqë identitetin e pranuar të pajisjes, dhe trajtimi i sesioneve aktive meriton testin e vet. Një TPM ose një shenjë e pajisjes së menaxhuar nuk është certifikatë e pastër shëndetësore për çdo proces në makinë.

Regjistroni kufizimin e rrjetit, kredencialin e pajisjes dhe vendimin e regjistrimit si tre kontrolle me tre pronarë. Kjo e bën kufirin të verifikueshëm, dhe është ajo që një adresë e vetme nuk mund ta ofrojë kurrë.